Cela ne signifie pas que chaque résultat de Fix Now devrait automatiquement bloquer chaque version. Une politique CI défendable peut utiliser Fix Now comme condition de blocage tout en traitant une correspondance CISA KEV, une accessibilité confirmée ou un actif de production critique comme des raisons indépendantes d’arrêter. Les résultats de surveillance et de priorité inférieure peuvent être intégrés au suivi à moins que le contexte local ne les soulève.
Il s’agit d’un meilleur modèle que le blocage de chaque avis de haute gravité. Une porte qui produit un bruit constant finira par être contournée. Il est plus facile de faire confiance à une porte qui explique pourquoi un résultat est élevé et quelles preuves supplémentaires peuvent remplacer la valeur par défaut.
Une direction de recherche
À l’Université d’État du Colorado, les chercheurs étudient les possibilités d’aller plus loin avec ce modèle. Rakesh Podder, Viktoria Koscinski et Indrajit Ray ont développé CAPE (Context-Aware Prioritization Engine), un cadre qui enrichit chaque CVE avec des preuves spécifiques au déploiement (analyse d’accessibilité, de centralité et d’exploitabilité) produisant un score de priorité classé à l’aide du processus de hiérarchie analytique (AHP). Évalués sur 30 projets open source et plus de 6 000 CVE signalés par des scanners, leurs résultats montrent que 43,3 % des CVE signalés par des scanners sont statiquement inaccessibles (53,1 % pour TypeScript et JavaScript ; 27,4 % pour Python). Dans le cas le plus extrême, ce taux atteint 76,1 %.
